Буткит BlackX обходит Secure Boot на обновлённой Windows через уязвимость CVE-2022-21894

Исследователи по безопасности отслеживают новый UEFI-буткит BlackX, который заражает полностью обновлённые системы Windows и обходит Secure Boot, сообщают со ссылкой на ИТ-порталы по безопасности ad-hoc-news.de ad-hoc-news.dead-hoc-news.dead-hoc-news.deОткрыть источник ↗. Вредоносная программа использует известную уязвимость CVE-2022-21894, также называемую Baton Drop, и закрепляется в системе раньше, чем начинают работать штатные средства защиты операционной системы.

Как BlackX обходит Secure Boot

Baton Drop — логическая ошибка в диспетчере загрузки Windows. Она позволяет обойти Secure Boot и при определённых условиях извлечь ключи BitLocker. Microsoft закрыла уязвимость патчем в 2022 году, но тогда не сразу отозвала сертификаты старых, по-прежнему уязвимых диспетчеров загрузки. В 2023 и 2024 годах компания выпустила дополнительные обновления: новый сертификат, который больше не считает уязвимые диспетчеры загрузки доверенными, и возможность вручную отозвать доверие к сертификатам старых диспетчеров.

Пострадавшие от BlackX организации установили все доступные обновления. Анализ Kaspersky указывает, что вредонос не использует новую уязвимость, а опирается на старые компоненты, которые система по-прежнему считает доверенными. Поскольку BlackX работает на очень ранней стадии запуска, он может загружать вредоносные драйверы ядра до того, как активны собственные службы защиты Windows. Он также устойчив: переживает полную переустановку операционной системы, если заражённый загрузочный раздел остаётся нетронутым.

В зарегистрированных до сих пор инцидентах BlackX не был основным вектором проникновения. Атакующие уже имели права администратора на целевых системах, а буткит на более позднем этапе использовался, чтобы закрепить достигнутые позиции ad-hoc-news.dead-hoc-news.dead-hoc-news.deОткрыть источник ↗. Схема повторяет BlackLotus 2023 года — первый публично описанный UEFI-буткит, сумевший обойти Secure Boot на полностью обновлённых системах Windows 11 в реальных условиях.

Спор о мерах защиты

Kaspersky раскритиковала существующие меры защиты. По словам компании, после установки патчей администраторам нужно самостоятельно выполнить дополнительные шаги, чтобы полностью заблокировать старые диспетчеры загрузки, а инструкции трудно найти на сайтах Microsoft.

Microsoft сослалась на руководство, опубликованное двумя неделями ранее в её базе знаний. Однако, как сообщается, в этой документации нет явного предупреждения о том, что обычные программные патчи сами по себе не обеспечивают достаточной защиты от атак типа Baton Drop.